系统管理员安全
(5)系统V的cron程序
cron在UNIX系统是多用户方式时运行,根据规定的时间安排执行指定的命
令,每隔一分钟检查一次文件/usr/lib/crontab,寻找是否有应当运行的程序?
如果找到要运行的程序,就运行该程序,否则睡眠等待一分钟.
实际的/usr/lib/crontab用于根据全天的规则时间表运行程序,也可在夜
晚运行白天不愿运行怕降低其他用户速度的程序.通常由cron运行的程序是如
记帐,存文件这样的程序.cron一般在系统进入多用户后由/etc/rc启动,当
shutdown运行killall命令时便终止运行.由cron运行的程序作为root,所以应
当注意放什么程序在crontab中,还要确保/usr/lib/crontab和该表中列出的
任何程序对任何人不可写.
如果用户需要由cron执行一个程序,系统管理员可用su命令在crontab表
中建立一个入口,使用户的程序不能获得root的权限.
(6)系统V版本2之后的cron程序
在系统V版本2中,cron被修改成允许用户建立自己的crontab入口,
/usr/lib/crontab文件不再存在,由目录/usr/spool/cron/crontabs中的文件
代替.这些文件的格式与crontab相同,但每个文件与系统中的一个用户对应,
并以某用户的名义由cron运行.
如果想限制能建立crontab的用户,可在文件/usr/lib/cron/cron.allow
文件中列出允许运行crontab命令的用户.任何未列于该文件的用户不能运行
crontab.反之,若更愿意列出不允许运行crontab命令的用户,则可将他们列入
/usr/lib/cron/cron.deny文件中,未列于该文件的其他用户将被允许建立
crontab.
注意:若两个文件都存在,系统将使用cron.allow,忽略cron.deny.如果两
个文件都不存在,则只有root可运行crontab.所以,若要允许系统中的所有用
户都可运行crontab命令,应当建立一个空的cron.deny文件,如果cron.allow
也存在,则删除该文件.
这个版本的cron命令的安全程度比前一个高,因为用户只能看自己的
crontab,系统管理员也不必担心其他用户的程序是否会作为root运行,由于允
许每个系统登录用户有自己的crontab,也简化了对程序必须由cron运行,但不
必作为root运行的系统程序的处理.
必须确保root的crontab文件仅对root可写,并且该文件所在的目录及所
有的父目录也仅对root可写.
(7)/etc/profile
每当用户(包括root在内)登录时,由shell执行/etc/profile文件,应确保
这个文件以及从这个文件运行的程序和命令都仅对root可写.
5./etc/passwd文件
/etc/passwd文件是UNIX安全的关键文件之一.该文件用于用户登录时校验
用户的口令,当然应当仅对root可写.文件中每行的一般格式为:
LOGNAME:PASSWORD:UID:GID:USERINFO:HOME:SHELL
每行的头两项是登录名和加密后的口令,后面的两个数是UID和GID,接着的
一项是系统管理员想写入的有关该用户的任何信息,最后两项是两个路径名:
一个是分配给用户的HOME目录,第二个是用户登录后将执行的shell(若为空格则
缺省为/bin/sh).
(1)口令时效
/etc/passwd文件的格式使系统管理员能要求用户定期地改变他们的口令.
在口令文件中可以看到,有些加密后的口令有逗号,逗号后有几个字符和一个
冒号.如:
steve:xyDfccTrt180x,M.y8:0:0:admin:/:/bin/sh
restrict:pomJk109Jky41,.1:0:0:admin:/:/bin/sh
pat:xmotTVoyumjls:0:0:admin:/:/bin/sh
可以看到,steve的口令逗号后有4个字符,restrict有2个,pat没有逗号.
逗号后第一个字符是口令有效期的最大周数,第二个字符决定了用户再次
修改口信之前,原口令应使用的最小周数(这就防止了用户改了新口令后立刻
又改回成老口令).其余字符表明口令最新修改时间.
要能读懂口令中逗号后的信息,必须首先知道如何用passwd_esc计数,计
数的方法是: .=0 /=1 0-9=2-11 A-Z=12-37 a-z=38-63
系统管理员必须将前两个字符放进/etc/passwd文件,以要求用户定期的
修改口令,另外两个字符当用户修改口令时,由passwd命令填入.
注意:若想让用户修改口令,可在最后一次口令被修改时,放两个".",则下
一次用户登录时将被要求修改自己的口令.
有两种特殊情况:
. 最大周数(第一个字符)小于最小周数(第二个字符),则不允许用户修改
口令,仅超级用户可以修改用户的口令.
. 第一个字符和第二个字符都是".",这时用户下次登录时被要求修改口
令,修改口令后,passwd命令将"."删除,此后再不会要求用户修改口令.
(2)UID和GID
/etc/passwd中UID信息很重要,系统使用UID而不是登录名区别用户.一般
来说,用户的UID应当是少有的,其他用户不应当有相同的UID数值.根据惯
例,从0到99的UID保留用作系统用户的UID(root,bin,uucp等).
如果在/etc/passwd文件中有两个不同的入口项有相同的UID,则这两个用
户对相互的文件具有相同的存取权限.
6./etc/group文件
/etc/group文件含有关于小组的信息,/etc/passwd中的每个GID在本文件中
应当有相应的入口项,入口项中列出了小组名和小组中的用户.这样可方便地了
解每个小组的用户,否则必须根据GID在/etc/passwd文件中从头至尾地寻找同组
用户.
/etc/group文件对小组的许可权限的控制并不是必要的,因为系统用UID,GID
(取自/etc/passwd)决定文件存取权限,即使/etc/group文件不存在于系统中,具
有相同的GID用户也可以小组的存取许可权限共享文件.
小组就像登录用户一样可以有口令.如果/etc/group文件入口项的第二个域
为非空,则将被认为是加密口令,newgrp命令将要求用户给出口令,然后将口令加
密,再与该域的加密口令比较.
给小组建立口令一般不是个好作法.第一,如果小组内共享文件,若有某人猜
着小组口令,则该组的所有用户的文件就可能泄漏;其次,管理小组口令很费事,
因为对于小组没有类似的passwd命令.可用/usr/lib/makekey生成一个口令写入
/etc/group.
以下情况必须建立新组:
(1)可能要增加新用户,该用户不属于任何一个现有的小组.
(2)有的用户可能时常需要独自为一个小组.
(3)有的用户可能有一个SGID程序,需要独自为一个小组.
(4)有时可能要安装运行SGID的软件系统,该软件系统需要建立一个新组.
要增加一个新组,必须编辑该文件,为新组加一个入口项.
由于用户登录时,系统从/etc/passwd文件中取GID,而不是从/etc/group中
取GID,所以group文件和口令文件应当具有一致性.对于一个用户的小组,UID和
GID应当是相同的.多用户小组的GID应当不同于任何用户的UID,一般为5位数,这
样在查看/etc/passwd文件时,就可根据5位数据的GID识别多用户小组,这将减少
增加新组,新用户时可能产生的混淆.
7.增加,删除,移走用户
(1)增加用户
增加用户有三个过程:
. 在/etc/passwd文件中写入新用户的入口项.
. 为新登录用户建立一个HOME目录.
. 在/etc/group中为新用户增加一个入口项.
在/etc/passwd文件中写入新的入口项时,口令部分可先设置为NOLOGIN,
以免有人做为此新用户登录.在修改文件前,应mkdir /etc/ptmp,以免他人同
时修改此文件.新用户一般独立为一个新组,GID号与UID号相同(除非他要加入
目前已存在的一个新组),UID号必须和其他人不同,HOME目录一般设置在/usr
或/home目录下建立一个以用户登录名为名称的目录做为其主目录.
(2)删除用户
删除用户与加用户的工作正好相反,首先在/etc/passwd和/etc/group文
件中删除用户的入口项,然后删除用户的HOME目录和所有文件.
rm -r /usr/loginname 删除整个目录树.
如果用户在/usr/spool/cron/crontabs中有crontab文件,也应当删除.
(3)将用户移到另一个系统
这是一个复杂的问题,不只是拷贝用户的文件和用户在/etc/passwd文件
中的入口项.首先一个问题是用户的UID和GID可能已经用于另一个系统,若是
出现这种情况,必须给要移的用户分配另外的UID和GID,如果改变了用户的UID
和GID,则必须搜索该用户的全部文件,将文件的原UID和GID改成新的UID和GID.
用find命令可以完成这一修改:
find . -user olduid -exec chown newuid {} \;
find . -group oldgid -exec chgrp newgid {} \;
也许还要为用户移走其它一些文件:
/usr/mail/user和/usr/spool/cron/crontabs/user.
如果用户从一个不是本系统管理员的系统移来,则应对该用户的目录结构
运行程序来检查.一个不安全系统的用户,可能有与该用户其它文件存在一起
的SUID/SGID程序,而这个SUID/SGID程序属于另一个用户.在这种情况下,如果
用cpio或tar命令将用户的目录结构拷贝到本系统,SUID/SGID程序也将会拷贝
到本系统而没有任何警告信息.应当在允许用户使用新系统以前先删除这种文
件的SUID/SGID许可.总之,始终坚持检查所移用户的文件总是更安全些.也可
以用su命令进入用户的户头,再拷贝用户文件,这样文件的所有者就是该用户,
而不是root.
8.安全检查
像find和secure这样的程序称为检查程序,它们搜索文件系统,寻找出SUID/
SGID文件,设备文件,任何人可写的系统文件,设有口令的登录用户,具有相同UID
/GID的用户等等.
(1)记帐
UNIX记帐软件包可用作安全检查工具,除最后登录时间的记录外,记帐系
统还能保存全天运行的所有进程的完整记录,对于一个进程所存贮的信息包括
UID,命令名,进程开始执行与结束的时间,CPU时间和实际消耗的时间,该进程
是否是root进程,这将有助于系统管理员了解系统中的用户在干什么.acctcom
命令可以列出一天的帐目表.有明,系统中有多个记帐数据文件,记帐信息保存
在文件/usr/adm/pacct*中,/usr/adm/pacct是当前记录文件,/usr/adm/pacctn
是以前的记帐文件(n为整型数).若有若干个记帐文件要查看,可在acctcom命
令中指定文件名: acctcom /usr/adm/pacct? /usr/adm/pacct
要检查的问题的其中之一是:在acctcom的输出中查找一个用户过多的登
录过程,若有,则说明可能有人一遍遍地尝试登录,猜测口令,企图非法进入系
统.此外,还应查看root进程,除了系统管理员用su命令从终端进入root,系统
启动,系统停止时间,以及由init(通常init只启动getty,login,登录shell),
cron启动的进程和具有root SUID许可的命令外,不应当有任何root进程.
由记帐系统也可获得有关每个用户的CPU利用率,运行的进程数等统计数
据.
(2)其它检查命令
*du:报告在层次目录结构(当前工作目录或指定目录起)中各目录占用的
磁盘块数.可用于检查用户对文件系统的使用情况.
*df:报告整个文件系统当前的空间使用情况.可用于合理调整磁盘空间的
使用和管理.
*ps:检查当前系统中正在运行的所有进程.对于用了大量CPU时间的进程,
同时运行了许多进程的用户,运行了很长时间但用了很少CPU时间的
用户进程应当深入检查.还可以查出运行了一个无限制循环的后台进
程的用户,未注销户头就关终端的用户(一般发生在直接连线的终端).
*who:可以告诉系统管理员系统中工作的进展情况等等许多信息,检查用
户的登录时间,登录终端.
*su:每当用户试图使用su命令进入系统用户时,命令将在/usr/adm/sulog
文件中写一条信息,若该文件记录了大量试图用su进入root的无效操
作信息,则表明了可能有人企图破译root口令.
*login:在一些系统中,login程序记录了无效的登录企图(若本系统的
login程序不做这项工作而系统中有login源程序,则应修改login).
每天总有少量的无效登录,若无效登录的次数突然增加了两倍,则表
明可能有人企图通过猜测登录名和口令,非法进入系统.
这里最重要的一点是:系统管理没越熟悉自己的用户和用户的工作习惯,
就越能快速发现系统中任何不寻常的事件,而不寻常的事件意味着系统已被人
窃密.
(3)安全检查程序的问题
关于以上的检查方法的一个警告,若有诱骗,则这些方法中没有几个能防
诱骗.如find命令,如果碰到路径名长于256个字符的文件或含有多于200个文
件的目录,将放弃处理该文件或目录,用户就有可能利用建立多层目录结构或
大目录隐藏SUID程序,使其逃避检查(但find命令会给出一个错误信息,系统管
理员应手工检查这些目录和文件).也可用ncheck命令搜索文件系统,但它没有
find命令指定搜索哪种文件的功能.
如果定期存取.profile文件,则检查久未登录用户的方法就不奏效了.而
用户用su命令时,除非用参数-,否则su不读用户的.profile.
有三种方法可寻找久未登录的帐户:
. UNIX记帐系统在文件/usr/adm/acct/sum/login中为每个用户保留了最
后一次登录日期.用这个文件的好处是,该文件由系统维护,所以可完全
肯定登录日期是准确的.缺点是必须在系统上运行记帐程序以更新
loginlog文件,如果在清晨(午夜后)运行记帐程序,一天的登录日期可
能就被清除了.
. /etc/passwd文件中的口令时效域将能告诉系统管理员,用户的口令是
否过期了,若过期,则意味着自过期以来,户头再未被用过.这一方法的
好处在于系统记录了久未用的户头,检查过程简单,且不需要记帐系统
所需要的磁盘资源,缺点是也许系统管理员不想在系统上设置口令时效,
而且这一方法仅在口令的最大有效期(只有几周)才是准确的.
. 系统管理员可以写一个程序,每天(和重新引导系统时)扫描/etc/wtmp,
自己保留下用户最后登录时间记录,这一方法的好处是不需要记帐程序,
并且时间准确,缺点是要自己写程序.
以上任何方法都可和/usr/adm/sulog文件结合起来,查出由login或su登
录户头的最后登录时间.
如果有人存心破坏系统安全,第一件要做的事就是寻找检查程序.破坏者
将修改检查程序,使其不能报告任何异常事件,也可能停止系统记帐,删除记帐
文件,使系统管理员不能发现破坏者干了些什么.
(4)系统泄密后怎么办?
发现有人已经破坏了系统安全的时候,这时系统管理员首先应做的是面对
肇事用户.如果该用户所做的事不是蓄意的,而且公司没有关于"破坏安全"的
规章,也未造成损坏,则系统管理员只需清理系统,并留心该用户一段时间.如
果该用户造成了某些损坏,则应当报告有关人士,并且应尽可能地将系统恢复
到原来的状态.
如果肇事者是非授权用户,那就得做最坏的假设了:肇事者已设法成为root
且本系统的文件和程序已经泄密了.系统管理员应当想法查出谁是肇事者,他
造成了什么损坏?还应当对整个文件做一次全面的检查,并不只是检查SUID和
SGID,设备文件.如果系统安全被一个敌对的用户破坏了,应当采用下面的步骤:
. 关系统,然后重新引导,不要进入多用户方式,进入单用户方式.
. 安装含有本系统原始UNIX版本的带和软盘.
. 将/bin,/usr/bin,/etc,/usr/lib中的文件拷贝到一个暂存目录中.
. 将暂存目录中所有文件的校验和(用原始版本的sum程序拷贝做校验和,
不要用/bin中的suM程序做)与系统中所有对就的文件的校验和进行比
较,如果有任何差别,要查清差别产生的原因.如果两个校验和不同,是
由于安装了新版本的程序,确认一相是否的确是安装了新版本程序.如
果不能找出校验和不同的原因,用暂存目录中的命令替换系统中的原有
命令.
. 在确认系统中的命令还未被窜改之前,不要用系统中原命令.用暂存目
录中的shell,并将PATH设置为仅在暂存目录中搜索命令.
. 根据暂存目录中所有系统命令的存取许可,检查系统中所有命令的存取
许可.
. 检查所有系统目录的存取许可,如果用了perms,检查permlist文件是否
被窜改过.
. 如果系统UNIX(/unix)的校验和不同于原版的校验和,并且系统管理员
从未修改过核心,则应当认为,一个非法者"很能干",从暂存缓冲区重新
装入系统.系统管理员可以从逐步增加的文件系统备份中恢复用户的文
件,但是在检查备份中的"有趣"文件之前,不能做文件恢复.
. 改变系统中的所有口令,通知用户他们的口令已改变,应找系统管理员
得到新口令.
. 当用户来要新口令时,告诉用户发生了一次安全事故,他们应查看自己
的文件和目录是否潜伏着危害(如SUID文件,特洛依木马,任何人可写的
目录),并报告系统管理员任何异乎寻常的情况.
. 设法查清安全破坏是如何发生的?如果没有肇事者说明,这也许是不可
能弄清的.如果能发现肇事者如何进入系统,设法堵住这个安全漏洞.
第一次安装UNIX系统时,可以将shell,sum命令,所有文件的校验和存放在
安全的介质上(带,软盘,硬盘和任何可以卸下并锁焉起来的介质).于是不必再
从原版系统带上重新装入文件,可以安装备份介质,装入shell和sum,将存在带
上的校验和与系统中文件的校验和进行比较.系统管理员也许想自己写一个计
算校验和的程序,破坏者将不能知道该程序的算法,如果将该程序及校验和保
存在带上,这一方法的保密问题就减小到一个物理的安全问题,即只需将带锁
起来.
cron在UNIX系统是多用户方式时运行,根据规定的时间安排执行指定的命
令,每隔一分钟检查一次文件/usr/lib/crontab,寻找是否有应当运行的程序?
如果找到要运行的程序,就运行该程序,否则睡眠等待一分钟.
实际的/usr/lib/crontab用于根据全天的规则时间表运行程序,也可在夜
晚运行白天不愿运行怕降低其他用户速度的程序.通常由cron运行的程序是如
记帐,存文件这样的程序.cron一般在系统进入多用户后由/etc/rc启动,当
shutdown运行killall命令时便终止运行.由cron运行的程序作为root,所以应
当注意放什么程序在crontab中,还要确保/usr/lib/crontab和该表中列出的
任何程序对任何人不可写.
如果用户需要由cron执行一个程序,系统管理员可用su命令在crontab表
中建立一个入口,使用户的程序不能获得root的权限.
(6)系统V版本2之后的cron程序
在系统V版本2中,cron被修改成允许用户建立自己的crontab入口,
/usr/lib/crontab文件不再存在,由目录/usr/spool/cron/crontabs中的文件
代替.这些文件的格式与crontab相同,但每个文件与系统中的一个用户对应,
并以某用户的名义由cron运行.
如果想限制能建立crontab的用户,可在文件/usr/lib/cron/cron.allow
文件中列出允许运行crontab命令的用户.任何未列于该文件的用户不能运行
crontab.反之,若更愿意列出不允许运行crontab命令的用户,则可将他们列入
/usr/lib/cron/cron.deny文件中,未列于该文件的其他用户将被允许建立
crontab.
注意:若两个文件都存在,系统将使用cron.allow,忽略cron.deny.如果两
个文件都不存在,则只有root可运行crontab.所以,若要允许系统中的所有用
户都可运行crontab命令,应当建立一个空的cron.deny文件,如果cron.allow
也存在,则删除该文件.
这个版本的cron命令的安全程度比前一个高,因为用户只能看自己的
crontab,系统管理员也不必担心其他用户的程序是否会作为root运行,由于允
许每个系统登录用户有自己的crontab,也简化了对程序必须由cron运行,但不
必作为root运行的系统程序的处理.
必须确保root的crontab文件仅对root可写,并且该文件所在的目录及所
有的父目录也仅对root可写.
(7)/etc/profile
每当用户(包括root在内)登录时,由shell执行/etc/profile文件,应确保
这个文件以及从这个文件运行的程序和命令都仅对root可写.
5./etc/passwd文件
/etc/passwd文件是UNIX安全的关键文件之一.该文件用于用户登录时校验
用户的口令,当然应当仅对root可写.文件中每行的一般格式为:
LOGNAME:PASSWORD:UID:GID:USERINFO:HOME:SHELL
每行的头两项是登录名和加密后的口令,后面的两个数是UID和GID,接着的
一项是系统管理员想写入的有关该用户的任何信息,最后两项是两个路径名:
一个是分配给用户的HOME目录,第二个是用户登录后将执行的shell(若为空格则
缺省为/bin/sh).
(1)口令时效
/etc/passwd文件的格式使系统管理员能要求用户定期地改变他们的口令.
在口令文件中可以看到,有些加密后的口令有逗号,逗号后有几个字符和一个
冒号.如:
steve:xyDfccTrt180x,M.y8:0:0:admin:/:/bin/sh
restrict:pomJk109Jky41,.1:0:0:admin:/:/bin/sh
pat:xmotTVoyumjls:0:0:admin:/:/bin/sh
可以看到,steve的口令逗号后有4个字符,restrict有2个,pat没有逗号.
逗号后第一个字符是口令有效期的最大周数,第二个字符决定了用户再次
修改口信之前,原口令应使用的最小周数(这就防止了用户改了新口令后立刻
又改回成老口令).其余字符表明口令最新修改时间.
要能读懂口令中逗号后的信息,必须首先知道如何用passwd_esc计数,计
数的方法是: .=0 /=1 0-9=2-11 A-Z=12-37 a-z=38-63
系统管理员必须将前两个字符放进/etc/passwd文件,以要求用户定期的
修改口令,另外两个字符当用户修改口令时,由passwd命令填入.
注意:若想让用户修改口令,可在最后一次口令被修改时,放两个".",则下
一次用户登录时将被要求修改自己的口令.
有两种特殊情况:
. 最大周数(第一个字符)小于最小周数(第二个字符),则不允许用户修改
口令,仅超级用户可以修改用户的口令.
. 第一个字符和第二个字符都是".",这时用户下次登录时被要求修改口
令,修改口令后,passwd命令将"."删除,此后再不会要求用户修改口令.
(2)UID和GID
/etc/passwd中UID信息很重要,系统使用UID而不是登录名区别用户.一般
来说,用户的UID应当是少有的,其他用户不应当有相同的UID数值.根据惯
例,从0到99的UID保留用作系统用户的UID(root,bin,uucp等).
如果在/etc/passwd文件中有两个不同的入口项有相同的UID,则这两个用
户对相互的文件具有相同的存取权限.
6./etc/group文件
/etc/group文件含有关于小组的信息,/etc/passwd中的每个GID在本文件中
应当有相应的入口项,入口项中列出了小组名和小组中的用户.这样可方便地了
解每个小组的用户,否则必须根据GID在/etc/passwd文件中从头至尾地寻找同组
用户.
/etc/group文件对小组的许可权限的控制并不是必要的,因为系统用UID,GID
(取自/etc/passwd)决定文件存取权限,即使/etc/group文件不存在于系统中,具
有相同的GID用户也可以小组的存取许可权限共享文件.
小组就像登录用户一样可以有口令.如果/etc/group文件入口项的第二个域
为非空,则将被认为是加密口令,newgrp命令将要求用户给出口令,然后将口令加
密,再与该域的加密口令比较.
给小组建立口令一般不是个好作法.第一,如果小组内共享文件,若有某人猜
着小组口令,则该组的所有用户的文件就可能泄漏;其次,管理小组口令很费事,
因为对于小组没有类似的passwd命令.可用/usr/lib/makekey生成一个口令写入
/etc/group.
以下情况必须建立新组:
(1)可能要增加新用户,该用户不属于任何一个现有的小组.
(2)有的用户可能时常需要独自为一个小组.
(3)有的用户可能有一个SGID程序,需要独自为一个小组.
(4)有时可能要安装运行SGID的软件系统,该软件系统需要建立一个新组.
要增加一个新组,必须编辑该文件,为新组加一个入口项.
由于用户登录时,系统从/etc/passwd文件中取GID,而不是从/etc/group中
取GID,所以group文件和口令文件应当具有一致性.对于一个用户的小组,UID和
GID应当是相同的.多用户小组的GID应当不同于任何用户的UID,一般为5位数,这
样在查看/etc/passwd文件时,就可根据5位数据的GID识别多用户小组,这将减少
增加新组,新用户时可能产生的混淆.
7.增加,删除,移走用户
(1)增加用户
增加用户有三个过程:
. 在/etc/passwd文件中写入新用户的入口项.
. 为新登录用户建立一个HOME目录.
. 在/etc/group中为新用户增加一个入口项.
在/etc/passwd文件中写入新的入口项时,口令部分可先设置为NOLOGIN,
以免有人做为此新用户登录.在修改文件前,应mkdir /etc/ptmp,以免他人同
时修改此文件.新用户一般独立为一个新组,GID号与UID号相同(除非他要加入
目前已存在的一个新组),UID号必须和其他人不同,HOME目录一般设置在/usr
或/home目录下建立一个以用户登录名为名称的目录做为其主目录.
(2)删除用户
删除用户与加用户的工作正好相反,首先在/etc/passwd和/etc/group文
件中删除用户的入口项,然后删除用户的HOME目录和所有文件.
rm -r /usr/loginname 删除整个目录树.
如果用户在/usr/spool/cron/crontabs中有crontab文件,也应当删除.
(3)将用户移到另一个系统
这是一个复杂的问题,不只是拷贝用户的文件和用户在/etc/passwd文件
中的入口项.首先一个问题是用户的UID和GID可能已经用于另一个系统,若是
出现这种情况,必须给要移的用户分配另外的UID和GID,如果改变了用户的UID
和GID,则必须搜索该用户的全部文件,将文件的原UID和GID改成新的UID和GID.
用find命令可以完成这一修改:
find . -user olduid -exec chown newuid {} \;
find . -group oldgid -exec chgrp newgid {} \;
也许还要为用户移走其它一些文件:
/usr/mail/user和/usr/spool/cron/crontabs/user.
如果用户从一个不是本系统管理员的系统移来,则应对该用户的目录结构
运行程序来检查.一个不安全系统的用户,可能有与该用户其它文件存在一起
的SUID/SGID程序,而这个SUID/SGID程序属于另一个用户.在这种情况下,如果
用cpio或tar命令将用户的目录结构拷贝到本系统,SUID/SGID程序也将会拷贝
到本系统而没有任何警告信息.应当在允许用户使用新系统以前先删除这种文
件的SUID/SGID许可.总之,始终坚持检查所移用户的文件总是更安全些.也可
以用su命令进入用户的户头,再拷贝用户文件,这样文件的所有者就是该用户,
而不是root.
8.安全检查
像find和secure这样的程序称为检查程序,它们搜索文件系统,寻找出SUID/
SGID文件,设备文件,任何人可写的系统文件,设有口令的登录用户,具有相同UID
/GID的用户等等.
(1)记帐
UNIX记帐软件包可用作安全检查工具,除最后登录时间的记录外,记帐系
统还能保存全天运行的所有进程的完整记录,对于一个进程所存贮的信息包括
UID,命令名,进程开始执行与结束的时间,CPU时间和实际消耗的时间,该进程
是否是root进程,这将有助于系统管理员了解系统中的用户在干什么.acctcom
命令可以列出一天的帐目表.有明,系统中有多个记帐数据文件,记帐信息保存
在文件/usr/adm/pacct*中,/usr/adm/pacct是当前记录文件,/usr/adm/pacctn
是以前的记帐文件(n为整型数).若有若干个记帐文件要查看,可在acctcom命
令中指定文件名: acctcom /usr/adm/pacct? /usr/adm/pacct
要检查的问题的其中之一是:在acctcom的输出中查找一个用户过多的登
录过程,若有,则说明可能有人一遍遍地尝试登录,猜测口令,企图非法进入系
统.此外,还应查看root进程,除了系统管理员用su命令从终端进入root,系统
启动,系统停止时间,以及由init(通常init只启动getty,login,登录shell),
cron启动的进程和具有root SUID许可的命令外,不应当有任何root进程.
由记帐系统也可获得有关每个用户的CPU利用率,运行的进程数等统计数
据.
(2)其它检查命令
*du:报告在层次目录结构(当前工作目录或指定目录起)中各目录占用的
磁盘块数.可用于检查用户对文件系统的使用情况.
*df:报告整个文件系统当前的空间使用情况.可用于合理调整磁盘空间的
使用和管理.
*ps:检查当前系统中正在运行的所有进程.对于用了大量CPU时间的进程,
同时运行了许多进程的用户,运行了很长时间但用了很少CPU时间的
用户进程应当深入检查.还可以查出运行了一个无限制循环的后台进
程的用户,未注销户头就关终端的用户(一般发生在直接连线的终端).
*who:可以告诉系统管理员系统中工作的进展情况等等许多信息,检查用
户的登录时间,登录终端.
*su:每当用户试图使用su命令进入系统用户时,命令将在/usr/adm/sulog
文件中写一条信息,若该文件记录了大量试图用su进入root的无效操
作信息,则表明了可能有人企图破译root口令.
*login:在一些系统中,login程序记录了无效的登录企图(若本系统的
login程序不做这项工作而系统中有login源程序,则应修改login).
每天总有少量的无效登录,若无效登录的次数突然增加了两倍,则表
明可能有人企图通过猜测登录名和口令,非法进入系统.
这里最重要的一点是:系统管理没越熟悉自己的用户和用户的工作习惯,
就越能快速发现系统中任何不寻常的事件,而不寻常的事件意味着系统已被人
窃密.
(3)安全检查程序的问题
关于以上的检查方法的一个警告,若有诱骗,则这些方法中没有几个能防
诱骗.如find命令,如果碰到路径名长于256个字符的文件或含有多于200个文
件的目录,将放弃处理该文件或目录,用户就有可能利用建立多层目录结构或
大目录隐藏SUID程序,使其逃避检查(但find命令会给出一个错误信息,系统管
理员应手工检查这些目录和文件).也可用ncheck命令搜索文件系统,但它没有
find命令指定搜索哪种文件的功能.
如果定期存取.profile文件,则检查久未登录用户的方法就不奏效了.而
用户用su命令时,除非用参数-,否则su不读用户的.profile.
有三种方法可寻找久未登录的帐户:
. UNIX记帐系统在文件/usr/adm/acct/sum/login中为每个用户保留了最
后一次登录日期.用这个文件的好处是,该文件由系统维护,所以可完全
肯定登录日期是准确的.缺点是必须在系统上运行记帐程序以更新
loginlog文件,如果在清晨(午夜后)运行记帐程序,一天的登录日期可
能就被清除了.
. /etc/passwd文件中的口令时效域将能告诉系统管理员,用户的口令是
否过期了,若过期,则意味着自过期以来,户头再未被用过.这一方法的
好处在于系统记录了久未用的户头,检查过程简单,且不需要记帐系统
所需要的磁盘资源,缺点是也许系统管理员不想在系统上设置口令时效,
而且这一方法仅在口令的最大有效期(只有几周)才是准确的.
. 系统管理员可以写一个程序,每天(和重新引导系统时)扫描/etc/wtmp,
自己保留下用户最后登录时间记录,这一方法的好处是不需要记帐程序,
并且时间准确,缺点是要自己写程序.
以上任何方法都可和/usr/adm/sulog文件结合起来,查出由login或su登
录户头的最后登录时间.
如果有人存心破坏系统安全,第一件要做的事就是寻找检查程序.破坏者
将修改检查程序,使其不能报告任何异常事件,也可能停止系统记帐,删除记帐
文件,使系统管理员不能发现破坏者干了些什么.
(4)系统泄密后怎么办?
发现有人已经破坏了系统安全的时候,这时系统管理员首先应做的是面对
肇事用户.如果该用户所做的事不是蓄意的,而且公司没有关于"破坏安全"的
规章,也未造成损坏,则系统管理员只需清理系统,并留心该用户一段时间.如
果该用户造成了某些损坏,则应当报告有关人士,并且应尽可能地将系统恢复
到原来的状态.
如果肇事者是非授权用户,那就得做最坏的假设了:肇事者已设法成为root
且本系统的文件和程序已经泄密了.系统管理员应当想法查出谁是肇事者,他
造成了什么损坏?还应当对整个文件做一次全面的检查,并不只是检查SUID和
SGID,设备文件.如果系统安全被一个敌对的用户破坏了,应当采用下面的步骤:
. 关系统,然后重新引导,不要进入多用户方式,进入单用户方式.
. 安装含有本系统原始UNIX版本的带和软盘.
. 将/bin,/usr/bin,/etc,/usr/lib中的文件拷贝到一个暂存目录中.
. 将暂存目录中所有文件的校验和(用原始版本的sum程序拷贝做校验和,
不要用/bin中的suM程序做)与系统中所有对就的文件的校验和进行比
较,如果有任何差别,要查清差别产生的原因.如果两个校验和不同,是
由于安装了新版本的程序,确认一相是否的确是安装了新版本程序.如
果不能找出校验和不同的原因,用暂存目录中的命令替换系统中的原有
命令.
. 在确认系统中的命令还未被窜改之前,不要用系统中原命令.用暂存目
录中的shell,并将PATH设置为仅在暂存目录中搜索命令.
. 根据暂存目录中所有系统命令的存取许可,检查系统中所有命令的存取
许可.
. 检查所有系统目录的存取许可,如果用了perms,检查permlist文件是否
被窜改过.
. 如果系统UNIX(/unix)的校验和不同于原版的校验和,并且系统管理员
从未修改过核心,则应当认为,一个非法者"很能干",从暂存缓冲区重新
装入系统.系统管理员可以从逐步增加的文件系统备份中恢复用户的文
件,但是在检查备份中的"有趣"文件之前,不能做文件恢复.
. 改变系统中的所有口令,通知用户他们的口令已改变,应找系统管理员
得到新口令.
. 当用户来要新口令时,告诉用户发生了一次安全事故,他们应查看自己
的文件和目录是否潜伏着危害(如SUID文件,特洛依木马,任何人可写的
目录),并报告系统管理员任何异乎寻常的情况.
. 设法查清安全破坏是如何发生的?如果没有肇事者说明,这也许是不可
能弄清的.如果能发现肇事者如何进入系统,设法堵住这个安全漏洞.
第一次安装UNIX系统时,可以将shell,sum命令,所有文件的校验和存放在
安全的介质上(带,软盘,硬盘和任何可以卸下并锁焉起来的介质).于是不必再
从原版系统带上重新装入文件,可以安装备份介质,装入shell和sum,将存在带
上的校验和与系统中文件的校验和进行比较.系统管理员也许想自己写一个计
算校验和的程序,破坏者将不能知道该程序的算法,如果将该程序及校验和保
存在带上,这一方法的保密问题就减小到一个物理的安全问题,即只需将带锁
起来.
0
相关文章
关注我们
